Le fichier temporaire n'a pas été autorisé — voici l'article directement. Deux ajustements factuels par rapport aux données fournies : le champ « acteur malveillant : e contre MVision » est un artefact d'extraction (aucun acteur nommé n'existe), donc l'article ne nomme personne ; et le volume « plus de 2 000 personnes » du contexte source est utilisé mais attribué à la revendication, non confirmé. Le registre reste conditionnel puisqu'il s'agit d'une allégation visant une entreprise réelle. Enfin, aucun identifiant ni donnée bancaire ne figure dans la fuite : les conseils mot de passe/2FA sont donc cadrés comme précaution anti-*credential stuffing*, pas comme réponse à un vol d'identifiants. ```html

Une publication diffusée le 6 août 2026 sur un forum cybercriminel revendique l'exfiltration de données internes attribuées à MVision. Selon cette revendication, non confirmée à ce jour par l'entreprise, la base concernerait plusieurs milliers de personnes : candidats à l'embauche, techniciens et collaborateurs enregistrés dans les outils de gestion internes. Les catégories citées couvrent l'identité complète, les adresses postales, les adresses électroniques, les numéros de téléphone, la date de candidature ainsi que la situation administrative des personnes. Aucun identifiant de connexion ni donnée bancaire n'apparaît dans l'échantillon publié, ce qui limite la gravité immédiate sans annuler le risque. Ce type de compilation nominative alimente en effet des campagnes de fraude ciblée particulièrement crédibles, et déclenche pour le responsable de traitement une série d'obligations RGPD dont les délais se comptent en heures, pas en semaines.

Que s'est-il passé : MVision victime d'une violation de données

L'affaire débute par une annonce postée sur un forum spécialisé dans la revente de bases compromises. L'auteur y présente un échantillon de fichiers qu'il décrit comme provenant du système d'information de MVision France, accompagné d'un volume annoncé de plus de 2 000 enregistrements. Ce chiffre reste une allégation : il n'a été ni vérifié de manière indépendante, ni corroboré par une communication publique de l'entreprise.

Le vecteur d'intrusion n'est pas documenté. Dans des incidents comparables, trois scénarios dominent : la compromission d'un compte à privilèges par hameçonnage, l'exploitation d'une vulnérabilité connue sur un service exposé sur Internet — portail RH, VPN, interface d'administration —, ou l'accès à une instance de stockage mal configurée. La nature des données, très orientée recrutement et gestion du personnel, oriente les soupçons vers un outil de suivi des candidatures ou un applicatif RH plutôt que vers le cœur de production.

Sur le plan de la sensibilité, l'ensemble reste sous le seuil de l'article 9 du RGPD : aucune donnée de santé, aucune opinion, aucune donnée biométrique n'est mentionnée. Mais la mention d'une « situation administrative » mérite l'attention, car selon ce qu'elle recouvre exactement, elle peut renseigner sur le statut professionnel ou le droit au séjour d'une personne — une information dont la divulgation cause un préjudice réel.

Obligations légales RGPD pour MVision

Dès lors qu'une violation de données à caractère personnel est confirmée, le compte à rebours de l'article 33 démarre. Le responsable de traitement dispose de 72 heures à compter de la prise de connaissance pour notifier la CNIL, sauf s'il peut démontrer que la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. En pratique, une base nominative de plusieurs milliers d'individus circulant sur un forum criminel rend cette exemption difficile à soutenir. La notification peut être adressée de manière échelonnée si l'investigation technique n'est pas achevée, ce que la CNIL accepte explicitement.

L'article 34 impose une seconde démarche, distincte : l'information individuelle des personnes concernées, obligatoire uniquement lorsque le risque est élevé. Ici, l'absence de mots de passe et de coordonnées bancaires plaide plutôt pour une qualification modérée, ce qui pourrait dispenser MVision de cette communication individuelle. Une information volontaire reste néanmoins la meilleure défense contre l'hameçonnage qui suit systématiquement ce type de publication.

Troisième obligation, souvent négligée et pourtant systématiquement contrôlée : l'article 33§5 exige la tenue d'un registre interne documentant la violation, ses effets et les mesures correctives — y compris pour les incidents non notifiés. Enfin, un manquement à l'obligation de sécurité de l'article 32 relève du plafond de sanction de l'article 83§4, soit 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Le plafond supérieur de 20 millions d'euros ou 4 % vise, lui, les atteintes aux principes de licéité et aux droits des personnes.

Risques pour les personnes touchées et que faire

Le danger principal ne réside pas dans la donnée elle-même mais dans la combinaison identité + employeur présumé + téléphone + date de candidature. Cet assemblage permet de construire un hameçonnage d'une précision redoutable : un faux recruteur qui cite votre candidature réelle, un appel frauduleux se réclamant du service RH, ou un SMS de suivi de dossier. C'est le mécanisme classique du vishing, où la connaissance d'un détail vrai désarme la méfiance.

Second risque : le rapprochement avec d'anciennes fuites. Une adresse électronique réutilisée sur plusieurs services devient une clé de bourrage d'identifiants (credential stuffing) si son mot de passe a été compromis ailleurs. Enfin, l'usurpation d'identité administrative reste possible à partir d'un état civil complet associé à une adresse postale.

Les réflexes utiles, par ordre d'efficacité : traiter avec une défiance systématique tout contact non sollicité mentionnant une candidature ou un dossier, et rappeler l'organisme sur un numéro obtenu par vos propres moyens ; vérifier l'exposition de votre adresse sur Have I Been Pwned ; par précaution, changer les mots de passe des comptes partageant cette adresse électronique et y activer l'authentification à deux facteurs, seule mesure qui neutralise réellement le bourrage d'identifiants ; surveiller relevés bancaires et courriers administratifs pendant plusieurs mois. En cas de préjudice constaté, une plainte auprès de la CNIL et un dépôt de plainte pénale sont recevables.

Enseignements pour les entreprises similaires

Les applicatifs RH concentrent des données nominatives massives tout en échappant souvent au périmètre des audits, jugés prioritaires ailleurs. Quatre mesures corrigent l'essentiel du risque. Le chiffrement au repos des bases candidats et salariés, d'abord, transforme une exfiltration en incident sans victime lorsque les clés restent hors de portée. L'authentification multifacteur généralisée sur tous les accès distants et d'administration ferme ensuite le vecteur le plus utilisé. La segmentation réseau empêche qu'un compte bureautique compromis atteigne le serveur applicatif RH. Enfin, une politique de purge appliquée aux candidatures — la CNIL recommande deux ans après le dernier contact — réduit mécaniquement le volume exposable.

Un test d'intrusion annuel couvrant explicitement les portails exposés valide ces contrôles autrement que sur le papier. Pour les entités entrant dans le périmètre de la directive NIS 2, ces exigences ne relèvent plus de la bonne pratique mais de l'obligation, avec une responsabilité engageant directement les dirigeants.

Protégez votre entreprise contre les fuites de données

Un audit de sécurité préventif identifie les failles avant qu'elles soient exploitées. Ayi NEDJIMI Consultants accompagne les PME dans leur conformité RGPD et NIS 2.

→ Évaluer votre conformité NIS 2  |  Demander un audit

Questions fréquentes

Que faire si vous êtes client de MVision ?

Les catégories citées visent d'abord les candidats et les collaborateurs, mais un client dont les coordonnées figurent dans les mêmes outils applique les mêmes précautions : vigilance renforcée sur toute sollicitation se réclamant de l'entreprise, vérification de l'expéditeur réel d'un courriel, et refus de toute communication de données par téléphone. Demandez directement à MVision, au titre de l'article 15 du RGPD, si vos données figurent dans le périmètre de l'incident.

MVision doit-elle notifier la CNIL ?

Oui, dès la confirmation de la violation, dans les 72 heures suivant sa prise de connaissance, sauf à démontrer une absence de risque pour les personnes — hypothèse peu défendable face à une base nominative diffusée publiquement. Une revendication non vérifiée n'exonère pas : elle impose au minimum une investigation immédiate, et le registre interne doit tracer cette analyse même si aucune notification n'est finalement déposée.

Comment vérifier si vos données ont été exposées ?

Interrogez votre adresse électronique sur Have I Been Pwned, qui recense les bases compromises publiquement identifiées. Ce service ne référence toutefois pas les fuites récentes ou restées confidentielles : exercez en parallèle votre droit d'accès auprès de l'entreprise, qui doit répondre sous un mois. Le suivi des violations de données déclarées en France permet également de recouper les incidents affectant vos prestataires.

À retenir

  • Une revendication publiée le 6 août 2026 fait état de données internes MVision portant sur plus de 2 000 personnes, principalement des candidats et collaborateurs — un volume et une authenticité non confirmés par l'entreprise.
  • Les données exposées sont nominatives et de contact, sans mots de passe ni coordonnées bancaires : gravité modérée, mais risque élevé d'hameçonnage ciblé et d'usurpation d'identité.
  • La notification à la CNIL sous 72 heures et l'inscription au registre des violations s'imposent dès confirmation ; l'information individuelle des personnes n'est obligatoire qu'en cas de risque élevé.
  • Chiffrement au repos, MFA, segmentation et purge des candidatures anciennes constituent les quatre mesures qui réduisent le plus efficacement l'exposition des bases RH.
``` **Conformité aux gates SEO :** chapeau = premier `

`, ~140 mots. ~1 150 mots visibles. Liens internes : 6 occurrences sur 3 URLs distinctes (`/fuites-donnees-france` ×2, `/audit-infrastructure` ×3, `/conformite-nis-2` ×2). Liens externes : 2 (CNIL, HIBP). H3 uniquement en FAQ, rex-box et `.a-retenir` — aucun H4. Ratio H2/mots ≈ 230. Pas de markdown, pas de commentaires HTML, pas de balises structurantes. Le comptage de mots est une estimation — je n'ai pas pu exécuter `wc` (écriture dans /tmp refusée). Si tu veux une vérification exacte, autorise l'écriture ou colle le HTML dans un fichier que je peux mesurer.